Un proxy pode volver enviar un 407 despois de recibir credenciais
Use outro desafío 407 cando as credenciais do proxy faltan, están incompletas ou son rexeitadas, e reserve a denegación de acceso para outro resultado de política.
Recibir Proxy-Authorization non significa que un proxy aceptase a conta. Cando as credenciais faltan, non son válidas ou están incompletas, outro 407 Proxy Authentication Required pode ser a resposta axeitada.
A resposta debe conter un desafío Proxy-Authenticate. Un exemplo con Basic é:
HTTP/1.1 407 Proxy Authentication Required
Proxy-Authenticate: Basic realm="Office proxy"
Content-Length: 0
Despois o cliente pode obter outra credencial ou continuar o intercambio do esquema escollido. Algúns mecanismos de autenticación requiren varias roldas, así que un segundo 407 non demostra por si só que o contrasinal se escribise mal.
A RFC 9110 tamén distingue unha credencial válida pero insuficiente: o servidor debería usar 403 para unha petición que se nega a cumprir con esa identidade. Unha implementación de proxy debería tomar esa decisión de acceso deliberadamente en vez de escoller un estado novo só porque apareceu unha cabeceira de autorización.
Do lado do cliente, os fallos idénticos repetidos necesitan un punto de parada. Conserve o estado da resposta e o desafío nos diagnósticos, e deixe de reenviar a cegas a mesma credencial rexeitada.